문제 화면이다 \' 으로 쿼터(%27)이 필터링 되어있어서 사용이 불가능하므로 다른 방안을 찾아야한다. like 문을 줬기에 _%, %_, %_% 을 활용해서 풀이할수 있다. like [0-9][a-Z]% 를 활용해서 문제를 풀어보자 import requests import string num_alpa = string.digits + string.ascii_letters cookies = {'PHPSESSID': 'l3toagi0tdl3lhfji1bkfaj7dk'} #https://los.rubiya.kr/chall/bugbear_19ebf8c8106a5323825b5dfa1b07ac1f.php?pw=123&&no=12%0d||mid(pw,1,1)%0din%0d("0")--%0d- key = "" pri..

실행하면 해당 화면이 나온다 get으로 from 뒤를 받는데 해당 부분이 붙어 있어서 sql 쿼리가 실행 안된다. 필터링에서 제외된 띄어쓰기 문자를 넣으면 된다. %0a~%0d 를 넣어봤더니 %0a --> X %0b --> O %0c --> O %0d --> X 결과가 나왔다 필터링 그대로 들어가나보다. https://los.rubiya.kr/chall/giant_18a08c3be1d1753de0cb157703f75a5e.php?shit=%0c 풀린다(grin)

문제를 확인해보면 전형적인 힙문제같다, 1.생성 2.삭제 3.출력 기능이 있다. ida로 메인 코드를 확인해보면 add 에서 for ( i = 0; i malloc_hook 3. malloc hook ovewrite payload 는 아래와 같다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 from pwn import * r = process("./RNote") e = ELF("./RNote") context.log_leve..

접속하면 해당 화면을 볼 수 있습니다. ?부분에서 계속 바귀면서 flag를 출력해주는데 하나하나 확인해서 찾을 수 도 있지만 너무 불편합니다.

처음 실행하면 위와 같이 그냥 메일박스 같은거 하나가 나옵니다. 실행시켜보면 무슨 메일을 보내는거 같습니다. 여기서 파라미터중에 Cc 라는 파라미터가 있는데, 이는 참조를 뜻합니다. 따라서 Cc: [내 메일주소] 를 입력해주면 메일로 flag를 획득할 수 있습니다. 여러줄을 입력해야해서 위와 같이 변경해주고, 이렇게 입력해주면 flag획득이 가능합니다 :)

처음 들어가면 이렇게 백지인데 명령어를 쳐보면 이런식으로 무언가를 출력해주려고 합니다. flag를 출력하려고 하면 "permission denied... admin only!" 라는 메세지를 출력합니다. 소스코드를 확인해보면 1 2 3 4 5 6 7 8 9 10 11 12 13 $(function () { var username = "guest"; var socket = io(); $('form').submit(function(e){ e.preventDefault(); socket.emit('cmd',username+":"+$('#m').val()); $('#m').val(''); return false; }); socket.on('cmd', function(msg){ $('#messages').appe..